CVE-2026-4851
Açıklama
GRID::Machine'ın Perl için 0.127 ve öncesi sürümleri, güvenli olmayan serileştirme kaldırma yoluyla rastgele kod çalıştırmaya izin verir. GRID::Machine, Perl için SSH üzerinden Uzaktan Yordam Çağrıları (RPC) sağlar. İstemci, kod çalıştırmak üzere uzak ana bilgisayarlara bağlanır. Ele geçirilmiş veya kötü niyetli bir uzak ana bilgisayar, RPC protokolündeki güvenli olmayan serileştirme kaldırma yoluyla istemcide rastgele kod çalıştırabilir. lib/GRID/Machine/Message.pm içindeki read_operation(), uzak taraftan gelen değerleri eval() kullanarak serileştirmeden kaldırır $arg .= '$VAR1'; my $val = eval "no strict; $arg"; # line 40-41 $arg, protokol borusundan gelen ham baytlardır. Ele geçirilmiş bir uzak ana bilgisayar, Dumper biçimindeki yanıta rastgele perl gömebilir: $VAR1 = do { system("..."); }; Bu, dönüş değerleri doğru kaldığı için her RPC çağrısında istemcide sessizce çalışır. Bu işlevsellik tasarım gereğidir ancak uzak ana bilgisayar için güven gereksinimi dağıtımda belgelenmemiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| casiano grid\ | \ ≤ v ≤ 0.127 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.